Bitcoin Core ha revisado su política de divulgación de seguridad para acelerar las correcciones y divulgaciones de vulnerabilidades que los modelos de lenguaje grande pueden rediscover fácilmente. Este cambio pone fin a embargos de meses de duración para esas vulnerabilidades. Los mantenedores fusionaron la revisión el jueves. El desarrollador de Chaincode Labs Antoine Poinsot, quien redactó la propuesta, anunció el cambio ese día a través de la Lista de Correo de Desarrollo de Bitcoin.
Poinsot dijo que los informes sobre vulnerabilidades de seguridad fácilmente redescubiertas habían aumentado recientemente. Poinsot atribuyó gran parte de este aumento a los modelos de lenguaje grande, que han hecho mucho más fácil identificar ciertas clases de vulnerabilidades y correcciones ocultas.
Bitcoin Core se ejecuta en la mayoría de los nodos de la red Bitcoin. La política anterior vinculaba el momento de la divulgación a la gravedad asignada a cada vulnerabilidad reportada. Las vulnerabilidades de baja gravedad se hacían públicas dos semanas después del lanzamiento de la siguiente versión principal. Las vulnerabilidades de media y alta gravedad permanecían confidenciales hasta dos semanas después de que la última versión afectada alcanzara el fin de su vida útil, lo que podía extender el embargo hasta un año. Esos plazos permitían a los operadores de nodos, muchos de los cuales actualizan lentamente, instalar software corregido antes de la divulgación pública. En la práctica, las correcciones no se lanzaban para versiones antiguas mantenidas, sino que aparecían en la siguiente versión principal. Poinsot argumentó que este compromiso no funciona para vulnerabilidades fácilmente redescubribles. La política indica que un embargo ofrece poco beneficio para tales vulnerabilidades mientras retrasa el acceso a una versión corregida.
Bitcoin Core ahora puede clasificar una vulnerabilidad como fácilmente descubrible durante la triage. La categoría cubre vulnerabilidades que requieren poco esfuerzo para encontrar, incluyendo mediante una solicitud directa a un modelo de lenguaje grande. También pueden calificar las vulnerabilidades descubiertas mediante otros métodos. Bitcoin Core aplicará correcciones para vulnerabilidades calificadas a cada versión principal mantenida. Bitcoin Core emitirá lanzamientos de puntos tan rápido como sea posible. Bitcoin Core publicará un aviso de seguridad con algunos detalles cuando el software corregido esté disponible. Poinsot reconoció que las correcciones aceleradas pasarán por menos pruebas antes de que los usuarios reciban las correcciones.
Las vulnerabilidades que no califican conservan el calendario de divulgación basado en la gravedad existente. Las vulnerabilidades críticas siguen exentas de la política estándar y recibirán tratamiento individual. Las vulnerabilidades críticas incluyen fallos que podrían permitir el robo de monedas a nivel de protocolo, aumentar la oferta de monedas o dividir permanentemente la cadena.
El desarrollador Antoine Riard propuso permitir correcciones sin avisos acompañantes y retener detalles cuando las circunstancias individuales lo justifiquen. Poinsot rechazó la propuesta. Poinsot argumentó que las advertencias sin detalles podrían aumentar innecesariamente el riesgo al animar a usuarios no afectados a migrar apresuradamente.
La revisión de la política sigue a meses de creciente presión sobre los proyectos de código abierto de Bitcoin. A finales de julio, el Bitcoin Red Team, un grupo voluntario compuesto por 16 desarrolladores, utilizó modelos de IA para examinar 390 repositorios de bitcoin en aproximadamente un día. El grupo registró 4.962 hallazgos, de los cuales 85 se clasificaron como críticos. Dentro de pocos días, los atacantes explotaron una vulnerabilidad en BTCPay Server que el grupo había informado privadamente, agotando nodos Lightning en servidores de comerciantes en vivo. En agosto, los desarrolladores de Core Lightning instruyeron a los operadores a actualizar o desconectarse después de que los informes de vulnerabilidades generados por IA demostraran ser correctos.
El trabajo del equipo rojo de Bitcoin siguió una explotación que involucró monederos hardware Coldcard. Los atacantes vaciaron 594 BTC en 25 minutos el 30 de julio. Las pérdidas de cuatro extracciones sumaron casi $114 millones.